Malware auf dem CAN-Bus
Banditensicher
Embedded-Bussysteme wie CAN waren ursprünglich als geschlossene Systeme konzipiert. Durch ihre Verlängerung Richtung Internet öffnet man sie selbst für Ransomware.
Anfang der Neunzigerjahre hat einer der Autoren seine erste Erfahrung in Sachen Embedded Security machen dürfen: Als Student jobbte er bei einem Hersteller von Industrie-PCs mit Read-only-Festplatten, bestehend aus EPROMs in DIL-Gehäusen (Dual In-Line). Kaum hatte er das Boot-Image auf einem mit einem verbreiteten DOS-Virus verseuchten PC erstellt, war der Schädling auch schon in die EPROMs gebrannt. Glücklicherweise fiel das noch vor der ersten Auslieferung auf. Hätte der Programmierer des Virus davon erfahren, wäre er vermutlich stolz gewesen.
Heute sollte jedem Betreiber einer Maschine oder Steuerungsanlage klar sein, dass sie für Viren oder sogar Ransomware-Angriffe anfällig sind, sobald eine ihrer Komponenten irgendwie über das Internet erreichbar ist. Selbst im Offlinebetrieb gibt es vielfältige Angriffswege über Funk oder Speichermedien. So weit sind dies bekannte Gefahren und nichts Neues.
Aber auch Komponenten der unteren Schichten, darunter einfache Sensoren oder Aktuatoren, brauchen eine besondere Aufmerksamkeit in Sicherheitsfragen. Sie sind typischerweise über ein Bussystem wie CAN (Controller Area Network) an ein Embedded-System angebunden und laufen oft ohne jedes Betriebssystem, nur mit einem programmierbaren Mikrocontroller mit Flash-Speicher. Hier entstehen Risiken, denn Busse wie CAN sind heute nur selten gesichert.
Ohne Internet konzipiert
CAN gibt es seit über dreißig Jahren. Damals hatten seine Erfinder nicht vorgesehen, dass jemand von außen auf den Feldbus zugreifen kann, da sie von einem geschlossenen System ausgingen. Verbundene Komponenten im Fahrzeug, in Maschinen oder anderen Steuerungsanlagen waren viele Jahre lang nicht von außen zugänglich.
Nun aber bekommen Aufzugssteuerungen, Industrieanlagen und Fahrzeuge internetfähige Module zur Diagnose, zum Überwachen der Performance oder zum Datenaustausch mit der Cloud. Für die nachträgliche Aufrüstung kann man günstige CAN-Geräte mit Funkschnittstellen kaufen, zum Beispiel CAN-zu-Bluetooth-Interfaces oder CAN-Adapter für den Raspberry Pi und andere Kleincomputer. Diese neuen Fähigkeiten der Vernetzung kommen zwar dem Konzept der Industrie 4.0 entgegen, verleiten allerdings zum Nachrüsten und damit zum Öffnen der als geschlossen konzipierten Embedded-Welten.
Ist ein Angreifer erst einmal auf ein Gerät gelangt, das mit einem ungeschützten Bussystem wie CAN verbunden ist, bieten sich ihm zwar viele Optionen, wie er seine Ransomware installieren kann, aber ganz so einfach ist es doch nicht: Im Automobilbau ist die CAN-Implementierung vielfach herstellerspezifisch, wodurch die genaue Bedeutung einzelner Nachrichten geheim bleibt. Dadurch müssen Angreifer zunächst die Kommunikation analysieren und herausfinden, welche Botschaft zum Beispiel den Bremskraftverstärker auslöst – ein nicht unerheblicher Aufwand, der sich aus der Ferne nur schwer durchführen lässt.